OneKey, Ledger ethereum Uygulaması Sürüm 1.22.1'de İşlem Değiştirme Saldırısını Yeniden Üretiyor

Mars Finans haberine göre, açık kaynaklı cüzdan sağlayıcısı OneKey'in güvenlik ekibi, eski Ledger Ethereum uygulamasına yönelik bir zafiyetin laboratuvar ortamında başarıyla yeniden oluşturulmasını başardı. OneKey'in kurucusu ve CEO'su Wang Yishi, daha önce düzeltilmiş bir zafiyeti kullanarak Ledger Ethereum uygulaması 1.22.1 sürümüne “işlem değiştirme saldırısı” gerçekleştirdiklerini belirtti; saldırgan, kullanıcıların legítim bir işlemi onaylarken imzalanmak üzere bekleyen işlemi üzerine yazabilirdi. Ledger, bu zafiyetin kötü amaçlı yazılım, ele geçirilmiş bir cüzdan yazılımı veya kötü niyetli bir web sayfası aracılığıyla cihaz ile ana bilgisayar arasındaki iletişimi kontrol etmeyi gerektirdiğini açıkladı. Ledger, 13 Ağustos'ta yayımlanan Ethereum uygulaması 1.22.2 ile uygulama katmanı koruması ekledi ve 21 Ağustos'ta Secure SDK 26.6.1 ile temel sorunu giderdi. Ledger, bu olayın laboratuvar ortamında yapılan bir zafiyet yeniden oluşturulması olduğunu ve bu nedenle hiçbir kullanıcının bu saldırıdan etkilenmediğini vurguladı. Bu güvenlik testi, Coldcard zafiyeti olayından sonra gerçekleşti. Daha önce Coldcard cüzdanı, donanım yazılımındaki bir zafiyet nedeniyle bazı seed ifadelerinin üretimiyle ilgili güvenlik sorunları yaşmıştı; ancak Ledger, kurtarma ifadesinin cihazın güvenli çipinde yer alan onaylanmış rastgele kaynaktan üretildiğini belirterek cihazlarının bu zafiyetten etkilenmediğini açıkladı. OneKey'in yeniden oluşturduğu zafiyet, seed ifade üretimiyle ilgili değil, imzalama sürecinde işlemlerin nasıl işlendiğini etkiliyor.